大學校園網絡安全防范

id="conbox">

　　現在互聯網越來越流行，很多大學都建設了自己互聯網網站，方便把學校的內容都在網上查找，但是，校園網站的安全問題也是尤為重要。在這裡，學習啦小編為大家介紹某大學的校園網絡安全解決方案，希望能幫助到大家。

　　1、項目背景

　　隨著信息化程度的提高，越來越多的學(院)校建了校園網和網站，把校園的介紹、規劃、招生、研究成果等發布在網站，讓更多的人了解自己的校園，甚至在網上即時進行學 術交流等。在網絡信息技術高度發展的今天，xxx大學作為一個高等院校，為了方便學術交流、校友聯絡、招生報名、研究成果的發布等，建設自己的網站和郵件系統是必須的。在當前的信息互動交流中，電子郵件的應用憑借其快速、靈活的特點，在整個互聯網絡應用中有著舉足輕重的地位。xxx大學提供給師生優質的電子郵件服務，不僅僅可以更好地利用現有網絡資源為廣大師生服務，還可以充分向海內外樹立和宣傳xxx大學的品牌形象，同時也方便了校友與母校的聯絡。

　　信息化程度的提高，極大地促進了教育事業的發展，但是隨之而來的卻是信息安全問題。xxx大學校園網以廣域網絡作為支撐平台，如何保障網絡安全成為不可避免的重大問題。在xxx大學校園網中，無論是有意的攻擊，還是無意的誤操作，都將會給信息系統帶來不可估量的損失。攻擊者可以竊聽網絡上的信息、竊取用戶的口令和數據庫的信息;還可以篡改數據庫內容、偽造用戶身份、否認自己的簽名;更有甚者，攻擊者可以刪除數據庫內容、摧毀網絡節點、釋放計算機病毒等等。內部工作人員能較多地接觸內部信息，工作中的任何不小心都可能給信息安全帶來危險。這些都使信息安全問題越來越復雜。

　　面對計算機網絡中的種種安全威脅，必須采取有力的措施來保證安全。無論是在局域網還是在廣域網中，網絡的安全措施應是能全方位地杜絕各種不同的威脅和脆弱性，這樣才能確保網絡信息的保密性、完整性和可用性。在xxx大學校園網中，應防患於未然，一旦出了事，亡羊補牢，恐怕為時已晚。根據網絡安全監測軟件的實際測試情況顯示，一個沒有安全防護措施的大型網絡，其安全漏洞可達1500個左右。目前的網絡中雖然采用一些安全產品，有一套安全制度，但由於各種客觀和主觀的原因仍然存在種種安全上的問題。同時，由於網絡的安全狀況隨著時間變化而變化，因此在作全網安全考慮時，除了合理的使用和配置各種安全軟件、硬件產品以外，日常的檢測和後續的服務也越來越受到重視。

　　2、網絡簡況

　　根據校園網拓撲圖，xxx大學通過10M的VPN線路與下面的八個分校連接，通過10M的專線連接到Internet網絡上。

　　在xxx大學的網絡系統中，網絡設備產品類型包括路由器、防火牆、核心交換機、工作組交換機、以太網卡等，服務器平台主要為TurboLinux，工作站系統平台有：Win95/98/Me/XP/2000 Professional/NT Workstation等，主要的服務器為：Powermail郵件服務器、Oracle數據庫服務器、Apache互聯網服務器、Pro FTP文件傳輸服務器等等。

　　根據xxx大學本部服務器部署拓撲圖，本部網絡的服務器分成兩個部分，一部分是對外提供服務的WEB服務器群、DNS服務器和郵件服務器，另一部分是對內提供服務的教學服務器、數據庫服務器、代理服務器等。對外提供服務的服務器接到了到CNCNet的防火牆的非軍事化區，而對內提供服務的服務器直接接到了主干交換機上。

　　xxx大學校園網的財務專網，是通過網通提供的虛擬專網連接起來的一個單獨的廣域網絡，它通過財務信息發布服務器與整個校園網建立聯系。

　　3、系統分析

　　xxx大學校園網絡在規劃時，已考慮到了安全方面的問題，也采取了一些措施來保障網絡的安全，如使用防火牆、MPLS虛擬專用網等等。但是，這些安全措施是不完備的。

　　(1) 校園網只考慮了對外服務器的安全性，對內服務器則是暴露在內部交換機上，隨時可能受到來自內部用戶的掃描、窺探和攻擊;

　　(2) 整個網絡沒有采取防病毒措施，如果病毒擴散，將會迅速蔓延到整個網絡，後果不堪設想;

　　(3) 在目前只有CNCNet出口的情況下，所有的服務器都接到一台防火牆的DMZ上，從系統效率來看，這樣是不合適的，如果將來接到了CerNet上，可以考慮將一部分業務如郵件移到CerNet出口處的防火牆的DMZ區上。

　　根據安全評估和檢測的結果，發現有以下問題：

　　(4) 首先，整個網絡的結構復雜，服務器繁多，網絡管理員沒有合適的工具及時對整個網絡的安全狀況及時做出評估，無法防患於未然;

　　(5) 其次，我們在對各服務器進行掃描的時候發現，有些服務器打開了多余的服務，攻擊者可以通過它們威脅服務器的安全;

　　(6) 最後，有些服務程序本身存在漏洞，這些漏洞可以通過升級服務程序或者對服務器進行設置進行彌補。

　　因此，我們不僅要采用新的安全設備和技術手段來加固現有的網絡系統，而且還要使用專業的安全服務對現有的服務器進行安全改造，全方位提高網絡的安全性。

　　4、方案實施

　　我們綜合采用防火牆、入侵檢測、內容過濾和安全評估技術，建立xxx大學校園網安全系統框架：

　　(1) 建立完整可行的網絡安全、網絡管理策略與技術組織措施;

　　(2) 利用防火牆將內部網絡、對外服務器網絡和外網進行有效隔離，避免與外部網絡直接通信;

　　(3) 利用防火牆建立網絡各主機和對外服務器的安全保護措施，保證系統安全;

　　(4) 利用防火牆對網上服務請求內容進行控制，使非法訪問在到達主機前被拒絕;利用防火牆加強合法用戶的訪問認證，同時在不影響用戶正常訪問的基礎上將用戶的訪問權限控制在最低限度內;

　　(5) 利用防火牆全面監視對公開服務器的訪問，及時發現和阻止非法操作;

　　(6) 利用防火牆及各服務器上的審計記錄，形成一個完善的審計體系，在策略之後建立第二條防線;

　　(7) 在本部和各分校，利用入侵檢測系統，監測對內，對外服務器的訪問;

　　(8) 在本部和各分校，利用入侵檢測系統，對服務請求內容進行控制，使非法訪問在到達主機前被阻斷;

　　(9) 在本部使用入侵檢測系統的控制台，對各分校的探測器進行統一管理;

　　(10) 在Internet出口處，使用NetHawk網絡行為監控系統進行網絡活動實時監控和內容過濾;

　　(11) 在本部部署RJ-iTop網絡隱患掃描系統，定期對整個網絡的安全狀況進行評估，及時彌補出現的漏洞;

　　(12) 使用安全加固手段對現有服務器進行安全配置，保障服務器本身的安全性;

　　(13) 加強網絡安全管理，提高校園網系統全體人員的網絡安全意識和防范技術